Auftragsverarbeitungsvereinbarung über personenbezogene Daten – DPA
Zwischen den Unterzeichnern
dem Unternehmen NEWMIPS, Betreiber der Lösung YUZUCARD, im Folgenden „NEWMIPS“ oder „Auftragsverarbeiter“ genannt,
und
dem Abonnenten der Lösung YUZUCARD, im Folgenden „Abonnent“ oder „Verantwortlicher“ genannt,
gemeinsam als „Vertragsparteien“ bezeichnet.
Die vorliegende Vereinbarung über die Auftragsverarbeitung personenbezogener Daten (im Folgenden „DPA“) ergänzt die für die YUZUCARD-Lösung geltenden Allgemeinen Verkaufs- und Dienstleistungsbedingungen (im Folgenden „AGB“).
Im Falle von Widersprüchen zwischen dieser DPA und den AGB hinsichtlich des Schutzes personenbezogener Daten haben die Bestimmungen dieser DPA Vorrang.
1. GEGENSTAND DER DPA
Gegenstand dieser DPA ist die Festlegung der Bedingungen, unter denen NEWMIPS berechtigt ist, im Auftrag des Abonnenten personenbezogene Daten im Rahmen der Bereitstellung und Nutzung der YUZUCARD-Lösung zu verarbeiten.
Die Parteien verpflichten sich, die geltenden Vorschriften zum Schutz personenbezogener Daten einzuhalten, insbesondere die Verordnung (EU) 2016/679 vom 27. April 2016 zum Schutz natürlicher Personen bei der Verarbeitung personenbezogener Daten und zum freien Datenverkehr sowie alle geltenden nationalen Vorschriften.
Im Rahmen der von dieser Datenschutzvereinbarung erfassten Verarbeitungen fungiert der Unterzeichner als Verantwortlicher und NEWMIPS als Auftragsverarbeiter, sofern die gesetzlichen Voraussetzungen für diese Einstufung erfüllt sind.
2. BESCHREIBUNG DER VERARBEITUNGEN
2.1 Gegenstand der Verarbeitungen
NEWMIPS ist berechtigt, die personenbezogenen Daten zu verarbeiten, die für die Bereitstellung, den Betrieb, das Hosting, die Wartung, die Sicherung und den Support der YUZUCARD-Lösung erforderlich sind.
2.2 Dauer der Datenverarbeitung
Die Datenverarbeitung erfolgt während der gesamten Laufzeit des zwischen den Parteien geschlossenen Vertrags und nach dessen Beendigung so lange, wie dies zur Erfüllung der in dieser Datenschutzvereinbarung oder in den geltenden Vorschriften vorgesehenen Verpflichtungen zur Rückgabe, Löschung oder Aufbewahrung erforderlich ist.
2.3 Art der Verarbeitungsvorgänge
Die Verarbeitungsvorgänge können je nach den genutzten Funktionen insbesondere Folgendes umfassen:
- die Erhebung;
- die Speicherung;
- die Organisation;
- die Strukturierung;
- die Aufbewahrung;
- die Abfrage;
- die Nutzung;
- die Übermittlung oder Bereitstellung, sofern dies für
- den Betrieb des Dienstes erforderlich ist;
- die Einschränkung;
- die Löschung oder Vernichtung.
2.4 Zwecke der Verarbeitung
Die Daten werden ausschließlich zu folgenden Zwecken verarbeitet:
- Bereitstellung und Ermöglichung der Nutzung der YUZUCARD-Lösung;
- Hosting der Daten und Gewährleistung des technischen Betriebs des Dienstes;
- Verwaltung der Konten und Zugangsrechte der Nutzer;
- Gewährleistung der Wartung, Sicherheit und technischen Verbesserung des Dienstes;
- Bereitstellung der vom Abonnenten oder den autorisierten Nutzern angeforderten Hilfe und Unterstützung;
- technische oder sicherheitsrelevante Vorfälle zu verhindern, zu erkennen und zu beheben;
- die dokumentierten Anweisungen des Abonnenten im Rahmen der Nutzung des Dienstes auszuführen.
2.5 Kategorien betroffener Personen
Je nach Nutzung der YUZUCARD-Lösung können zu den betroffenen Personen insbesondere gehören:
- Vertreter, Mitarbeiter, Mitarbeiter und Ansprechpartner des Abonnenten;
- die Nutzer der Lösung;
- Kunden, Interessenten, Partner oder sonstige Kontakte, deren Daten vom Abonnenten oder dessen Nutzern in die Lösung eingegeben werden.
2.6 Datenkategorien
Je nach den genutzten Funktionen und den vom Abonnenten eingegebenen Daten können die verarbeiteten Daten insbesondere Folgendes umfassen:
- Identifikationsdaten und Kontaktdaten;
- berufliche Daten;
- Informationen zu Konten und Zugriffsrechten;
- Anmeldedaten und technische Protokolle;
- Inhalte, Informationen, Dokumente oder sonstige Daten, die vom Abonnenten und seinen Nutzern im Rahmen der Nutzung des Dienstes eingegeben oder übermittelt werden.
Der Abonnent verpflichtet sich, mittels der SOFTWARE nur die Daten zu verarbeiten, die für seine eigenen Zwecke erforderlich sind, und die ihm als Verantwortlicher obliegenden Pflichten einzuhalten.
3. WEISUNGEN DES ABONNENTEN
NEWMIPS verarbeitet personenbezogene Daten ausschließlich auf dokumentierte Weisung des Abonnenten, einschließlich hinsichtlich etwaiger Datenübermittlungen in ein Drittland oder an eine internationale Organisation, es sei denn, NEWMIPS ist aufgrund des für sie geltenden Rechts zur Verarbeitung verpflichtet.
Im letzteren Fall informiert NEWMIPS den Auftraggeber vor der Verarbeitung über diese Verpflichtung, es sei denn, das anwendbare Recht verbietet eine solche Information aus wichtigen Gründen des öffentlichen Interesses.
Die dokumentierten Anweisungen des Auftraggebers umfassen insbesondere die vorliegenden AGB, die vorliegende DPA, die im Rahmen des Dienstes genutzten Funktionen sowie die Anfragen, die über die dafür vorgesehenen Kanäle an NEWMIPS gerichtet werden.
Sollte NEWMIPS der Ansicht sein, dass eine Anweisung des Abonnenten einen Verstoß gegen die geltenden Datenschutzbestimmungen darstellt, wird es den Abonnenten unverzüglich darüber informieren.
4. VERTRAULICHKEIT
NEWMIPS stellt sicher, dass Personen, die im Rahmen des Dienstes zur Verarbeitung personenbezogener Daten befugt sind, einer angemessenen Vertraulichkeitsverpflichtung oder einer gesetzlichen Geheimhaltungspflicht unterliegen.
NEWMIPS beschränkt den Zugriff auf die Daten ausschließlich auf diejenigen Personen, die diese zur Erfüllung ihrer Aufgaben kennen müssen.
5. DATENSICHERHEIT
NEWMIPS ergreift geeignete technische und organisatorische Maßnahmen, um ein Sicherheitsniveau zu gewährleisten, das den mit der Verarbeitung verbundenen Risiken angemessen ist, wobei insbesondere der Stand der Technik, die Implementierungskosten, die Art, der Umfang, der Kontext und die Zwecke der Verarbeitung sowie die Risiken für die Rechte und Freiheiten der betroffenen Personen berücksichtigt werden.
Diese Maßnahmen können je nach Bedarf und Konfiguration des Dienstes insbesondere Folgendes umfassen:
- die Verwaltung von Berechtigungen und Zugriffsrechten;
- die Authentifizierung der Benutzer;
- den Schutz des Zugriffs auf Systeme und Daten;
- die Verschlüsselung der Kommunikation, sofern dies technisch möglich ist;
- die Protokollierung und Nachverfolgbarkeit bestimmter Zugriffe oder Vorgänge;
- Maßnahmen zur Gewährleistung der Verfügbarkeit und Ausfallsicherheit der Systeme;
- Verfahren zur Datensicherung und -wiederherstellung, sofern diese für den Dienst vorgesehen sind;
- Verfahren zur Erkennung und Bearbeitung von Sicherheitsvorfällen;
- Verfahren zur Bewertung und Verbesserung der Sicherheitsmaßnahmen.
Der Abonnent erkennt an, dass die Sicherheit der Datenverarbeitung auch von seinen eigenen Maßnahmen abhängt, insbesondere von der Verwaltung der Benutzerkonten, der Geheimhaltung der Zugangsdaten und der von ihm eingerichteten Zugriffskonfiguration.
6. EINSATZ VON WEITEREN AUFTRAGNEHMERN
Der Abonnent ermächtigt NEWMIPS, weitere Auftragnehmer einzusetzen, um die Dienste ganz oder teilweise zu erbringen, insbesondere in den Bereichen Hosting, Infrastruktur, Wartung, Sicherheit, Kommunikation oder Support.
Die Liste der nachgelagerten Auftragsverarbeiter, auf die NEWMIPS für die unter diese DPA fallenden Verarbeitungen zurückgreift, kann dem Abonnenten auf Anfrage mitgeteilt oder von NEWMIPS auf geeignete Weise zugänglich gemacht werden.
NEWMIPS verpflichtet seine nachgelagerten Auftragsverarbeiter zu angemessenen Datenschutzverpflichtungen, die im Wesentlichen denen dieser DPA entsprechen, sofern dies nach den geltenden Vorschriften erforderlich ist.
Im Falle der Hinzufügung oder des Austauschs eines nachgelagerten Auftragsverarbeiters, der möglicherweise personenbezogene Daten im Auftrag des Vertragsnehmers verarbeitet, informiert NEWMIPS den Vertragsnehmer gemäß den in den geltenden Vorschriften vorgesehenen Modalitäten und räumt ihm gegebenenfalls das Recht ein, begründete Einwände zu erheben.
7. DATENÜBERMITTLUNGEN
NEWMIPS verpflichtet sich, keine personenbezogenen Daten in ein Land außerhalb des Europäischen Wirtschaftsraums zu übermitteln, ohne die geltenden Anforderungen für internationale Datenübermittlungen einzuhalten.
Ist im Rahmen der Erbringung des Dienstes eine internationale Datenübermittlung erforderlich, stellt NEWMIPS sicher, dass diese auf einem geeigneten, in den geltenden Vorschriften vorgesehenen Übermittlungsmechanismus beruht.
Weitere Informationen zu etwaigen Datenübermittlungen können dem Abonnenten auf Anfrage mitgeteilt werden, soweit NEWMIPS zur Weitergabe dieser Informationen berechtigt ist.
8. UNTERSTÜTZUNG DES ABONNENTEN
Unter Berücksichtigung der Art der Verarbeitungen und der ihr zur Verfügung stehenden Informationen unterstützt NEWMIPS den Abonnenten in angemessenem Umfang und soweit möglich, damit dieser den Anträgen auf Ausübung der Rechte der betroffenen Personen nachkommen kann.
Wird ein Antrag auf Ausübung von Rechten direkt an NEWMIPS gerichtet und betrifft er eine im Auftrag des Abonnenten durchgeführte Datenverarbeitung, leitet NEWMIPS diesen Antrag unverzüglich an den Abonnenten weiter, sofern keine gesetzlichen Bestimmungen ein anderes Vorgehen vorschreiben.
NEWMIPS unterstützt den Abonnenten zudem in angemessener Weise unter Berücksichtigung der Art der Verarbeitung und der verfügbaren Informationen bei der Erfüllung seiner Verpflichtungen, insbesondere in Bezug auf:
- die Sicherheit der Verarbeitungen;
- die Meldung von Verletzungen des Schutzes personenbezogener Daten;
- die Durchführung von Datenschutz-Folgenabschätzungen, sofern diese erforderlich sind;
- etwaige vorherige Konsultationen der Aufsichtsbehörde.
Jede Unterstützung, die über die normalen Funktionen des Dienstes oder die gesetzlichen Verpflichtungen von NEWMIPS hinausgeht, kann besonderen Bedingungen unterliegen.
9. VERLETZUNG DES SCHUTZES PERSONENBEZOGENER DATEN
Im Falle einer Verletzung des Schutzes personenbezogener Daten, die im Auftrag des Abonnenten verarbeitet werden, informiert NEWMIPS den Abonnenten unverzüglich, nachdem es davon Kenntnis erlangt hat.
Soweit Informationen verfügbar sind, teilt NEWMIPS dem Abonnenten die ihr vorliegenden relevanten Informationen mit, damit dieser den Vorfall bewerten und gegebenenfalls seinen gesetzlichen Verpflichtungen nachkommen kann.
NEWMIPS ergreift angemessene Maßnahmen, um die Folgen des Verstoßes zu begrenzen und das Auftreten ähnlicher Vorfälle zu verhindern, sofern dies in seinen Verantwortungsbereich fällt.
10. DOKUMENTATION UND AUDIT
NEWMIPS stellt dem Vertragspartner die Informationen zur Verfügung, die in angemessener Weise erforderlich sind, um die Einhaltung seiner Verpflichtungen aus dieser DPA und den geltenden Vorschriften nachzuweisen.
Vorbehaltlich einer angemessenen Vorankündigung, der Vertraulichkeit der Informationen über andere Kunden von NEWMIPS und der Einhaltung der geltenden Sicherheitsanforderungen kann der Abonnent die Durchführung eines Audits hinsichtlich der Verpflichtungen von NEWMIPS gemäß dieser DPA beantragen.
Die praktischen Modalitäten, der Umfang, die Häufigkeit und die Bedingungen für die Durchführung eines Audits werden einvernehmlich zwischen den Parteien festgelegt, um eine übermäßige Beeinträchtigung des Betriebs der Dienste oder der Systemsicherheit zu vermeiden.
11. VERFÜGUNG ÜBER DIE DATEN BEI VERTRAGSBEENDIGUNG
Bei Beendigung des Vertrags, unabhängig vom Grund, sorgt NEWMIPS nach Wahl des Abonnenten und vorbehaltlich der Funktionen des Dienstes für die Rückgabe oder Löschung der in seinem Auftrag verarbeiteten personenbezogenen Daten.
Der Abonnent wird gebeten, vor dem tatsächlichen Datum der Beendigung des Zugangs zum Dienst die Daten, von denen er eine Kopie behalten möchte, abzurufen, sofern die Funktionen der SOFTWARE dies zulassen.
Nach Ablauf einer angemessenen technischen Aufbewahrungsfrist nach Beendigung des Vertrags löscht oder anonymisiert NEWMIPS die Daten, sofern keine gesetzliche Verpflichtung zu deren Aufbewahrung besteht.
Die Daten können vorübergehend in technischen Sicherungskopien verbleiben, solange dies für ihren normalen Überschreibungs- oder Löschzyklus erforderlich ist, vorausgesetzt, dass sie im Rahmen der normalen Nutzung des Dienstes nicht mehr zugänglich sind und durch geeignete Sicherheitsmaßnahmen geschützt bleiben.
12. VERPFLICHTUNGEN DES ABONNENTEN
Der Abonnent verpflichtet sich insbesondere dazu:
die Zwecke und Mittel der von ihm mithilfe der SOFTWARE durchgeführten Verarbeitungen festzulegen;
sicherzustellen, dass er über eine geeignete Rechtsgrundlage für die von ihm durchgeführten Verarbeitungen verfügt;
den betroffenen Personen die nach den geltenden Vorschriften erforderlichen Informationen zur Verfügung zu stellen;
Anfragen zur Ausübung der Rechte der betroffenen Personen zu beantworten;
die Rechtmäßigkeit, Relevanz und Datenminimierung der von ihm verarbeiteten Daten zu gewährleisten;
die SOFTWARE nicht zur Verarbeitung von Daten in einer Weise zu nutzen, die gegen die geltenden Vorschriften verstößt;
NEWMIPS rechtmäßige, dokumentierte und hinreichend genaue Anweisungen zu erteilen.
Der Vertragspartner bleibt allein verantwortlich für seine eigenen Verpflichtungen in seiner Eigenschaft als Verantwortlicher.
13. LAUFZEIT UND RANGFOLGE
Die vorliegende DPA tritt mit Inkrafttreten des Vertrags in Kraft und bleibt während der gesamten Dauer der von NEWMIPS im Auftrag des Vertragsnehmers durchgeführten Verarbeitungen gültig.
Verpflichtungen, die ihrer Natur nach über die Beendigung des Vertrags hinaus bestehen bleiben müssen, insbesondere diejenigen in Bezug auf Vertraulichkeit, Sicherheit und den Verbleib der Daten, gelten so lange, wie es für ihre Erfüllung erforderlich ist.
Im Falle einer Änderung der geltenden Rechtsvorschriften oder der Dienste, die eine Anpassung dieser DPA erforderlich macht, kann NEWMIPS eine Aktualisierung dieses Dokuments vorschlagen, um einen Vertragsrahmen aufrechtzuerhalten, der den geltenden Anforderungen entspricht.